PGDCA, BCA, B-Tech, MCA, M-Tech, B.Sc computer science राजस्थान सूचना सहायक व कंप्यूटर शिक्षक विशेष नोट्स: इस अध्याय में हम Computer Worms: Propagation Mechanisms vs Viruses (कंप्यूटर वॉर्म (Computer Worms): स्व-प्रतिकृति और प्रसार तंत्र) की संपूर्ण थ्योरी, मुख्य तकनीकी बिंदु, तुलनात्मक तालिका और विगत परीक्षाओं के पैटर्न पर आधारित 20 अति-महत्वपूर्ण बहुविकल्पीय प्रश्न (MCQs) विस्तृत हिंदी व अंग्रेजी व्याख्या सहित पढ़ेंगे।
Overview: Computer worms are standalone, self-replicating malware programs that spread autonomously across networks by exploiting software vulnerabilities, weak credentials, or network shares without requiring a host file. Their exponential propagation relies on targeted scanning algorithms such as random, hit-list, topological, and subnet-biased scanning.
अध्याय सार: कंप्यूटर वॉर्म स्वतंत्र और स्व-प्रतिकृति बनाने वाले मैलवेयर प्रोग्राम हैं जो बिना किसी होस्ट फाइल या मानवीय क्लिक के नेटवर्क कमजोरियों, कमजोर पासवर्ड या शेयर्ड ड्राइव का लाभ उठाकर स्वतः फैलते हैं। इनका तीव्र घातांकीय प्रसार रैंडम, हिट-लिस्ट, टोपोलॉजिकल और सबनेट-आधारित स्कैनिंग एल्गोरिदम पर निर्भर करता है।
Computer Worms: Propagation Mechanisms vs Viruses: Detailed Notes & Architecture (कंप्यूटर वॉर्म (Computer Worms): स्व-प्रतिकृति और प्रसार तंत्र)
1. Worm Architecture and Fundamental Differences from Viruses (वॉर्म की संरचना और कंप्यूटर वायरस से मूलभूत अंतर)
[EN] Unlike viruses that must graft themselves onto existing host executables or MBR sectors and await user activation, a worm is an independent standalone program containing target discovery, network transport/exploitation, and payload modules. Once executed on a single machine, a worm actively scans IP ranges or protocol endpoints—consuming immense network bandwidth, CPU cycles, and NAT/firewall state tables—to replicate autonomously into remote systems. Famous early network worms like the 1988 Morris Worm proved how fast unpatched services (`fingerd`, `sendmail`) enable exponential internet-wide propagation.
[HI] वायरस के विपरीत, जिसे किसी वैध प्रोग्राम या बूट सेक्टर से जुड़कर यूजर के चलाने की प्रतीक्षा करनी पड़ती है, वॉर्म एक पूर्णतः स्वतंत्र प्रोग्राम होता है। इसमें टारगेट खोजने, नेटवर्क कमजोरी का दोहन करने और प्रतिकृति भेजने के मॉड्यूल शामिल होते हैं। एक सिस्टम पर चलते ही वॉर्म स्वतः अन्य कंप्यूटरों को स्कैन कर संक्रमित करता है, जिससे नेटवर्क बैंडविड्थ और राउटर कनेक्शन टेबल तुरंत भर जाते हैं (जैसे 1988 का Morris Worm जिसने `fingerd` और `sendmail` की कमजोरियों का उपयोग किया था)।
2. Network Target Discovery and Scanning Algorithms (नेटवर्क लक्ष्य खोज और स्कैनिंग एल्गोरिदम)
[EN] The infection velocity of a network worm depends heavily on its scanning strategy. Random scanning probes arbitrary IPv4 addresses across the `2^32` space (e.g., Code Red v1), while Localized/Subnet scanning prioritizes hosts within the victim's `/16` or `/24` LAN block (e.g., Nimda, WannaCry) to exploit trusted internal networks. Hit-List scanning accelerates the slow initial phase by embedding a pre-compiled list of known vulnerable servers—demonstrated dramatically by SQL Slammer (2003), whose 376-byte UDP port 1434 packet infected roughly 75,000 SQL servers in under 10 minutes. Topological scanning mines local `/etc/hosts`, ARP caches, or Outlook contact lists.
[HI] नेटवर्क वॉर्म के फैलने की गति उसकी स्कैनिंग रणनीति पर निर्भर करती है। रैंडम स्कैनिंग पूरे `2^32` IPv4 एड्रेस स्पेस में बेतरतीब IP जांचती है, जबकि लोकलाइज्ड/सबनेट स्कैनिंग पहले पीड़ित कंप्यूटर के ही `/24` या `/16` लोकल नेटवर्क पर हमला करती है। हिट-लिस्ट स्कैनिंग में हमलावर पहले से खोजे गए कमजोर सर्वरों की सूची वॉर्म में डाल देता है, जिससे शुरुआती प्रसार अत्यंत तेज हो जाता है—जैसे 2003 के SQL Slammer ने मात्र 376-बाइट के UDP पोर्ट 1434 पैकेट से 10 मिनट में ~75,000 सर्वर संक्रमित कर दिए। टोपोलॉजिकल स्कैनिंग स्थानीय ARP टेबल, `/etc/hosts` या ईमेल एड्रेस बुक का उपयोग करती है।
3. Landmark Worms: Morris, SQL Slammer, Conficker, Stuxnet and EternalBlue (प्रमुख ऐतिहासिक वॉर्म्स: Morris, SQL Slammer, Conficker, Stuxnet और EternalBlue)
[EN] Exam curricula emphasize milestone worms that reshaped cyber defense. The Morris Worm (1988) accidentally crippled ~10% of the ARPANET due to an aggressive re-infection bug, sparking the creation of CERT/CC. Conficker (2008) exploited Windows SMB vulnerability MS08-067 (TCP 445) while deploying Domain Generation Algorithms (DGAs) and P2P updates. Stuxnet (2010) combined four Windows zero-days, stolen Realtek certificates, and USB `.LNK` propagation to reach air-gapped networks and physically sabotage Iranian Siemens S7-300 PLCs. In 2017, WannaCry and NotPetya weaponized the leaked EternalBlue SMBv1 exploit (MS17-010, port 445).
[HI] परीक्षा की दृष्टि से कुछ ऐतिहासिक वॉर्म अत्यंत महत्वपूर्ण हैं। 1988 के Morris Worm ने अनपेक्षित पुनः-संक्रमण बग के कारण इंटरनेट के ~10% हिस्से को प्रभावित किया, जिसके बाद CERT/CC की स्थापना हुई। Conficker (2008) ने MS08-067 SMB कमजोरी (TCP 445) और DGA का उपयोग किया। Stuxnet (2010) ने 4 जीरो-डे कमजोरियों और USB `.LNK` के जरिए एयर-गैप्ड नेटवर्क में घुसकर ईरान के Siemens PLC सेंट्रीफ्यूज को भौतिक नुकसान पहुंचाया। 2017 में WannaCry और NotPetya ने SMBv1 की EternalBlue (MS17-010, पोर्ट 445) कमजोरी से वैश्विक तबाही मचाई।
4. Worm Containment: Micro-Segmentation, IDS/IPS and Patch Management (वॉर्म रोकथाम: माइक्रो-सेगमेंटेशन, IDS/IPS और पैच प्रबंधन)
[EN] Stopping fast-moving worms requires automated architectural controls rather than slow manual cleanup. Network micro-segmentation and host firewalls block lateral east-west protocols such as legacy SMBv1 (`TCP 445`), NetBIOS (`137-139`), and RPC (`135`) across subnets. Intrusion Prevention Systems (IPS) running Snort or Suricata drop signatured exploit packets and threshold-rate anomalous outbound SYN/UDP scan bursts immediately. Complementing perimeter defenses with Network Telescopes/Honeypots for early warning, egress filtering, and timely CVE patching neutralizes worm propagation paths before exponential spread begins.
[HI] तेजी से फैलने वाले वॉर्म को रोकने के लिए स्वचालित नेटवर्क सुरक्षा नियंत्रण आवश्यक हैं। माइक्रो-सेगमेंटेशन और होस्ट फ़ायरवॉल सबनेट के बीच लेगेसी SMBv1 (`TCP 445`), NetBIOS (`137-139`) और RPC (`135`) ट्रैफिक को प्रतिबंधित करते हैं। Snort या Suricata आधारित IPS सिस्टम एक्सप्लॉइट पैकेट और अचानक बढ़े हुए आउटबाउंड पोर्ट-स्कैन ट्रैफिक को तुरंत ब्लॉक करते हैं। हनीपॉट्स (Honeypots), आउटबाउंड ईग्रेस फिल्टरिंग और समय पर CVE सुरक्षा पैच लागू करके वॉर्म के घातांकीय प्रसार को शुरुआत में ही रोका जा सकता है।
Syntax, Formula & Technical Example (Computer Worms: Propagation Mechanisms vs Viruses)
# Snort / Suricata IPS Detection Rules for Worm Lateral Propagation
# 1. Detect SQL Slammer 376-byte UDP Port 1434 Worm Burst:
alert udp any any -> any 1434 (msg:"MS-SQL Slammer Worm Probe"; dsize:376; content:"|04|"; depth:1; sid:2001434; rev:1;)
# 2. Detect High-Rate Outbound SMBv1 (TCP 445) Worm Scanning:
alert tcp $HOME_NET any -> any 445 (msg:"Possible SMBv1 Worm Lateral Scan"; flags:S; detection_filter:track by_src, count 50, seconds 5; sid:2000445; rev:2;)
# PowerShell Hardening: Disable Vulnerable Legacy SMBv1 Protocol
Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol -NoRestartComputer Worms: Propagation Mechanisms vs Viruses Quick Reference & Comparison Table
| Propagation Strategy | Target Selection & Spread Behavior | Representative Worm |
|---|---|---|
| Random IPv4 Scanning | Probes arbitrary 32-bit IPs across the entire Internet | Code Red v1 (HTTP port 80) |
| Hit-List Scanning | Starts with pre-compiled list of known vulnerable servers | SQL Slammer (376-byte UDP 1434) |
| Topological Scanning | Extracts peers from /etc/hosts, ARP cache, or email contacts | Morris Worm (1988) / ILOVEYOU |
| Subnet-Biased & USB Hybrid | Prioritizes local /24 LAN SMB shares & removable media | Stuxnet (2010) / WannaCry (2017) |
Computer Worms: Propagation Mechanisms vs Viruses Top 20 Bilingual MCQs with Answers
Q1. Why was SQL Slammer (2003) able to infect approximately 75,000 database servers worldwide in under 10 minutes?
(2003 में SQL Slammer वॉर्म 10 मिनट से भी कम समय में दुनिया भर के लगभग 75,000 डेटाबेस सर्वरों को संक्रमित करने में कैसे सफल रहा?)
(A) It required victims to manually open a 25 MB `.docm` macro attachment
(B) It infected physical Blu-ray disks shipped to data centers
(C) It resided purely in memory inside a single connectionless 376-byte UDP packet targeting Microsoft SQL Server Resolution Service on port 1434
(D) It used a slow 3-way TCP TLS 1.3 handshake before every probe
Correct Answer: (C)
[EN] Because UDP requires no TCP 3-way handshake, Slammer could fire thousands of 376-byte exploit packets per second straight from memory, saturating links instantly.
[HI] चूंकि UDP में कनेक्शन बनाने के लिए 3-वे हैंडशेक की जरूरत नहीं होती, 376 बाइट के एक ही पैकेट ने पोर्ट 1434 पर प्रति सेकंड हजारों सर्वरों पर सीधा हमला कर दिया।
Q2. Which 1988 incident exploited `fingerd` buffer overflow, `sendmail` debug mode, and weak `rsh` passwords, directly prompting DARPA to establish CERT/CC?
(1988 की किस घटना ने `fingerd` बफर ओवरफ्लो और `sendmail` डिबग मोड का लाभ उठाया, जिसके बाद DARPA ने CERT/CC की स्थापना की?)
(A) Stuxnet
(B) Morris Worm
(C) Melissa Macro Virus
(D) CryptoLocker
Correct Answer: (B)
[EN] Robert Tappan Morris Jr.'s 1988 worm infected ~6,000 Unix hosts (~10% of the early Internet), leading directly to the creation of CERT/CC at Carnegie Mellon.
[HI] रॉबर्ट मॉरिस के 1988 के Morris Worm ने शुरुआती इंटरनेट के लगभग 10% सिस्टम प्रभावित किए, जिसके परिणामस्वरूप CERT/CC की स्थापना हुई।
Q3. Which Windows networking protocol and port were exploited by both Conficker (MS08-067) and WannaCry/EternalBlue (MS17-010)?
(Conficker (MS08-067) और WannaCry/EternalBlue (MS17-010) दोनों ने विंडोज के किस नेटवर्किंग प्रोटोकॉल और पोर्ट का दुरुपयोग किया?)
(A) SMB (Server Message Block) on TCP port 445
(B) DNS on UDP port 53
(C) SNMP on UDP port 161
(D) SMTP on TCP port 25
Correct Answer: (A)
[EN] Windows File and Printer Sharing over SMB (TCP 445) enabled unauthenticated remote code execution via MS08-067 and MS17-010 (SMBv1).
[HI] विंडोज के SMB प्रोटोकॉल (TCP पोर्ट 445) की कमजोरियों का उपयोग Conficker और EternalBlue आधारित WannaCry दोनों ने स्वतः प्रसार के लिए किया।
Q4. How does 'Topological Scanning' allow a worm to discover new victims faster than pure blind random IP probing?
('टोपोलॉजिकल स्कैनिंग' (Topological Scanning) किसी वॉर्म को रैंडम IP स्कैनिंग की तुलना में नए शिकार तेजी से खोजने में कैसे मदद करती है?)
(A) It waits passively for users to mail physical USB drives
(B) It reads local configuration files (`/etc/hosts`, ARP tables, SSH known_hosts, or address books) containing active reachable peers
(C) It scans only IPv6 multicast addresses `FF02::1`
(D) It encrypts the local router's BGP routing table with AES-128
Correct Answer: (B)
[EN] Topological worms harvest real trusted hostnames and IP addresses already stored on the compromised machine, minimizing wasted probes on dead IPs.
[HI] टोपोलॉजिकल स्कैनिंग संक्रमित सिस्टम के `/etc/hosts`, ARP कैश या ईमेल कॉन्टैक्ट्स से पहले से सक्रिय और विश्वसनीय कंप्यूटरों के पते निकाल लेती है।
Q5. Which worm famously bridged air-gapped industrial facilities via USB flash drives (`.LNK` vulnerability) to sabotage Siemens Step7 PLC centrifuges?
(कौन सा प्रसिद्ध वॉर्म USB ड्राइव (`.LNK` कमजोरी) के माध्यम से एयर-गैप्ड औद्योगिक नेटवर्क में प्रवेश कर Siemens Step7 PLC सेंट्रीफ्यूज को नुकसान पहुंचाने के लिए जाना जाता है?)
(A) Stuxnet
(B) SQL Slammer
(C) Code Red
(D) Mirai
Correct Answer: (A)
[EN] Stuxnet (discovered 2010) carried four zero-days and targeted specific Siemens S7-300/400 PLC frequency converters in Natanz without requiring internet access.
[HI] Stuxnet (2010) ने चार जीरो-डे कमजोरियों और USB के जरिए एयर-गैप्ड इंडस्ट्रियल कंट्रोल सिस्टम (Siemens PLC) को निशाना बनाया था।
Q6. What does the `detection_filter: track by_src, count 50, seconds 5` option accomplish in a Snort/Suricata worm-detection rule?
(Snort/Suricata नियम में `detection_filter: track by_src, count 50, seconds 5` विकल्प क्या कार्य करता है?)
(A) It blocks all HTTPS traffic permanently after 50 bytes
(B) It restarts the firewall automatically every 50 minutes
(C) It decrypts TLS 1.3 packets using 50-bit DES keys
(D) It triggers an alert only when a single source IP sends more than 50 matching connection probes within 5 seconds
Correct Answer: (D)
[EN] Worm scanning generates abnormal bursts of outbound SYNs per host; `detection_filter` distinguishes fast worm sweeps from single legitimate connections.
[HI] यह नियम तभी अलर्ट जारी करता है जब कोई एक स्रोत IP मात्र 5 सेकंड में 50 से अधिक बार कनेक्शन प्रयास करे, जो वॉर्म स्कैनिंग का स्पष्ट लक्षण है।
Q7. Why did the Morris Worm cause catastrophic CPU and memory exhaustion on infected VAX and Sun-3 machines even though it lacked a destructive file-wiping payload?
(फाइलें मिटाने वाला कोई पेलोड न होने के बावजूद Morris Worm ने संक्रमित मशीनों के CPU और मेमोरी को पूरी तरह ठप क्यों कर दिया था?)
(A) It disabled cooling fans inside VAX hardware racks
(B) Its anti-reinfection check failed probabilistically (re-infecting already compromised hosts 1 in 7 times), spawning runaway duplicate worm processes
(C) It overwrote `/boot/vmlinuz` with random noise
(D) It converted every kernel module into infinite JPEG loops
Correct Answer: (B)
[EN] Morris designed the worm to re-infect 1 out of 7 times to stop defenders from faking an infection marker; this caused exponential CPU fork saturation.
[HI] पुनः-संक्रमण रोकने की जांच में बग के कारण यह पहले से संक्रमित मशीनों पर भी 7 में से 1 बार दोबारा जुड़ता रहा, जिससे अनगिनत प्रोसेस चल गए और सिस्टम ठप हो गया।
Q8. What primary symptom differentiates a fast-spreading network worm outbreak on an enterprise LAN from a typical localized Trojan infection?
(एंटरप्राइज LAN पर एक सामान्य ट्रोजन संक्रमण की तुलना में तेज नेटवर्क वॉर्म के प्रकोप का मुख्य लक्षण क्या होता है?)
(A) Sudden network link saturation, ARP storm spikes, and massive outbound connection attempts on ports like 445 or 1434 from internal hosts
(B) A single user sees one extra browser bookmark
(C) Printer ink cartridges run dry slightly faster
(D) The BIOS CMOS clock lags by 2 seconds per year
Correct Answer: (A)
[EN] Worms aggressively probe thousands of internal and external IPs simultaneously, triggering switch port exhaustion, firewall NAT depletion, and bandwidth spikes.
[HI] वॉर्म के प्रकोप में आंतरिक कंप्यूटरों से अचानक पोर्ट 445 या 1434 पर हजारों स्कैन पैकेट जाते हैं, जिससे नेटवर्क बैंडविड्थ और फ़ायरवॉल टेबल भर जाती हैं।
Q9. Which PowerShell remediation command mitigates EternalBlue-style SMBv1 worm lateral movement on legacy Windows hosts?
(विंडोज होस्ट पर EternalBlue जैसे SMBv1 वॉर्म के लेटरल प्रसार को रोकने के लिए कौन सा PowerShell कमांड उपयुक्त है?)
(A) `Set-ExecutionPolicy Unrestricted`
(B) `netsh firewall set opmode disable`
(C) `Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol`
(D) `Enable-PSRemoting -Force -SkipNetworkProfileCheck`
Correct Answer: (C)
[EN] Disabling SMBv1 removes the deprecated protocol targeted by MS17-010 (WannaCry/NotPetya) without needing to shut down modern SMBv3 shares.
[HI] SMBv1 प्रोटोकॉल को निष्क्रिय करने से MS17-010 (EternalBlue/WannaCry) के हमले का रास्ता बंद हो जाता है जबकि आधुनिक SMBv3 काम करता रहता है।
Q10. Which statement is NOT true about Computer Worms?
(कंप्यूटर वॉर्म (Computer Worms) के संबंध में निम्नलिखित में से कौन सा कथन सत्य नहीं है?)
(A) Worms can spread across email contact lists, instant messaging, network shares, and unpatched OS ports
(B) Hit-list scanning drastically reduces the initial slow ramp-up time of an outbreak
(C) Network segmentation restricts east-west worm propagation between VLANs
(D) A worm strictly requires embedding itself inside a legitimate host `.exe` binary before it can execute
Correct Answer: (D)
[EN] Being standalone executables or in-memory payloads, worms do NOT require infecting a host binary—that is the defining trait of a Virus.
[HI] वॉर्म को चलने के लिए किसी वैध होस्ट `.exe` फाइल से जुड़ने की आवश्यकता नहीं होती; यह स्वतंत्र रूप से चलने में सक्षम होता है।
Q11. How do 'Hit-List Scanning' worms overcome the slow random-scan startup phase when targeting sparse vulnerable hosts across 4 billion IPv4 addresses?
(4 अरब IPv4 पतों के बीच बिखरे हुए कमजोर सर्वरों को तेजी से संक्रमित करने के लिए 'हिट-लिस्ट स्कैनिंग' वॉर्म शुरुआती धीमे चरण को कैसे पार करते हैं?)
(A) They query Google Maps satellite images to locate servers
(B) They wait 6 months before probing their second target IP
(C) Attackers run stealth pre-scans beforehand and embed a list of verified vulnerable IPs inside the worm, then split the list across newly infected children
(D) They transmit packets over physical AM radio frequencies
Correct Answer: (C)
[EN] With a pre-computed hit list split recursively among infected nodes (permutation/hit-list), worms reach peak infection rates in seconds instead of hours.
[HI] हमलावर पहले से खोजे गए कमजोर IP पतों की सूची वॉर्म में डाल देते हैं और हर नया संक्रमित कंप्यूटर आधी सूची दूसरे शिकार को बांट देता है।
Q12. What role did the 'Flash Worm' concept described by Staniford et al. (2002) highlight in cyber security modeling?
(स्टैनिफोर्ड आदि (2002) द्वारा वर्णित 'फ्लैश वॉर्म' (Flash Worm) अवधारणा ने साइबर सुरक्षा में किस खतरे को उजागर किया?)
(A) That worms require manual floppy disk swapping by IT admins
(B) That a worm pre-armed with a complete internet-wide hit list could infect nearly all vulnerable hosts globally within tens of seconds
(C) That worms only run on Adobe Flash Player browser plugins
(D) That worms physically flash BIOS chips using Thunderbolt cables
Correct Answer: (B)
[EN] The Flash Worm theoretical model showed that combining UDP single-packet exploits with a complete hit-list outpaces human incident response completely.
[HI] फ्लैश वॉर्म मॉडल ने दिखाया कि यदि वॉर्म के पास पहले से सभी कमजोर सर्वरों की सूची हो, तो वह मानवीय प्रतिक्रिया से पहले ही कुछ सेकंडों में पूरी दुनिया में फैल सकता है।
Q13. Why does 'Subnet-Biased (Localized) Scanning' often cause disproportionate damage inside corporate networks?
('सबनेट-बायस्ड (लोकलाइज्ड) स्कैनिंग' कॉर्पोरेट नेटवर्क के भीतर इतना अधिक नुकसान क्यों पहुंचाती है?)
(A) Because subnet scanning forces CPUs into 8-bit real mode
(B) Because local subnets use unencrypted Wi-Fi exclusively
(C) Because routers block local ARP packets automatically
(D) Once a single endpoint inside a perimeter firewall is breached, local `/24` or `/16` scanning hits unfirewalled internal servers at gigabit LAN speeds
Correct Answer: (D)
[EN] Organizations often harden external perimeters while leaving flat internal LANs exposed; local-biased worms (like Code Red II and WannaCry) exploit that trust.
[HI] पेरीमीटर फ़ायरवॉल पार करने के बाद लोकल `/24` सबनेट स्कैनिंग सीधे आंतरिक सर्वरों को गीगाबिट गति से निशाना बनाती है जहां अक्सर कम आंतरिक सुरक्षा होती है।
Q14. What security mechanism is a 'Network Telescope' (Darknet Sensor) used for in worm research?
(वॉर्म अनुसंधान और प्रारंभिक चेतावनी में 'नेटवर्क टेलीस्कोप' (डार्कनेट सेंसर) का क्या उपयोग होता है?)
(A) Monitoring unused allocated IP address blocks passively to detect automated worm scanning spikes early
(B) Replacing DNS root servers during BGP outages
(C) Cracking RSA-2048 SSL certificates in real time
(D) Amplifying Wi-Fi signal strength across campus buildings
Correct Answer: (A)
[EN] Because no legitimate traffic goes to unused darknet IP blocks, incoming port 445 or 1434 packets immediately reveal active global worm scanning.
[HI] अप्रयुक्त IP ब्लॉक पर कोई वैध ट्रैफिक नहीं आता, इसलिए वहां आने वाले पोर्ट 445 या 1434 पैकेट्स से किसी नए वॉर्म के प्रसार का तुरंत पता चल जाता है।
Q15. How did the 2001 'Code Red' worm propagate and what unique web-application target did it exploit?
(2001 के 'Code Red' वॉर्म ने कैसे प्रसार किया और इसने किस विशिष्ट वेब-एप्लिकेशन कमजोरी का लाभ उठाया?)
(A) It spread through WhatsApp voice notes
(B) It exploited IPv6 Neighbor Discovery on Linux routers
(C) It exploited an indexing ISAPI buffer overflow in Microsoft IIS web servers over TCP port 80 and ran entirely in memory
(D) It targeted Apache Struts via FTP port 21
Correct Answer: (C)
[EN] Code Red exploited `idq.dll` in Microsoft IIS 4.0/5.0 over HTTP port 80 without writing itself to disk, later launching a coordinated DDoS on `whitehouse.gov`.
[HI] Code Red ने TCP पोर्ट 80 पर Microsoft IIS के ISAPI बफर ओवरफ्लो की कमजोरी का उपयोग किया और डिस्क पर फाइल लिखे बिना सीधे मेमोरी में चला।
Q16. Which mitigation control prevents compromised workstations inside a branch office from propagating a worm outward to external internet targets?
(कौन सा सुरक्षा नियंत्रण एक संक्रमित वर्कस्टेशन को बाहरी इंटरनेट पर अन्य लक्ष्य स्कैन करने और वॉर्म फैलाने से रोकता है?)
(A) Enabling HTTP directory listing on public web servers
(B) Disabling antivirus updates during business hours
(C) Assigning public static IPv4 addresses to every IoT printer
(D) Strict Egress Filtering on perimeter firewalls and VLAN ACLs denying outbound SMB/SQL/unapproved ports
Correct Answer: (D)
[EN] Egress filtering restricts outbound traffic from internal clients to only required services (e.g., DNS via internal resolver, HTTPS via proxy), blocking worm scans.
[HI] ईग्रेस फिल्टरिंग (Egress Filtering) आंतरिक कंप्यूटरों से अनावश्यक बाहरी पोर्ट्स (जैसे 445 या 1434) पर जाने वाले ट्रैफिक को रोककर वॉर्म के बाहरी प्रसार को बंद कर देती है।
Q17. Within Computer Worms: Propagation Mechanisms vs Viruses, which propagation strategy directly maps to: "Probes arbitrary 32-bit IPs across the entire Internet"?
(Computer Worms: Propagation Mechanisms vs Viruses में कौन सा Propagation Strategy सीधे "Probes arbitrary 32-bit IPs across the entire Internet" से संबंधित है?)
(A) Random IPv4 Scanning
(B) Subnet-Biased & USB Hybrid
(C) Topological Scanning
(D) Hit-List Scanning
Correct Answer: (A)
[EN] In Computer Worms: Propagation Mechanisms vs Viruses, 'Random IPv4 Scanning' handles 'Probes arbitrary 32-bit IPs across the entire Internet' (Code Red v1 (HTTP port 80)).
[HI] Computer Worms: Propagation Mechanisms vs Viruses में 'Random IPv4 Scanning' का कार्य/विवरण 'Probes arbitrary 32-bit IPs across the entire Internet' (Code Red v1 (HTTP port 80)) है।
Q18. Which option accurately describes 'Hit-List Scanning' in Computer Worms: Propagation Mechanisms vs Viruses?
(Computer Worms: Propagation Mechanisms vs Viruses के संदर्भ में 'Hit-List Scanning' की सही विशेषता कौन सी है?)
(A) Starts with pre-compiled list of known vulnerable servers
(B) Prioritizes local /24 LAN SMB shares & removable media
(C) Probes arbitrary 32-bit IPs across the entire Internet
(D) Extracts peers from /etc/hosts, ARP cache, or email contacts
Correct Answer: (A)
[EN] 'Hit-List Scanning' provides 'Starts with pre-compiled list of known vulnerable servers' — key point: SQL Slammer (376-byte UDP 1434).
[HI] 'Hit-List Scanning' का मुख्य विवरण 'Starts with pre-compiled list of known vulnerable servers' है (SQL Slammer (376-byte UDP 1434))।
Q19. In Computer Worms: Propagation Mechanisms vs Viruses, identify the correct parameter for the specification: "Extracts peers from /etc/hosts, ARP cache, or email contacts".
(Computer Worms: Propagation Mechanisms vs Viruses में "Extracts peers from /etc/hosts, ARP cache, or email contacts" विवरण किस विकल्प के लिए सही है?)
(A) Topological Scanning
(B) Random IPv4 Scanning
(C) Subnet-Biased & USB Hybrid
(D) Hit-List Scanning
Correct Answer: (A)
[EN] 'Topological Scanning' corresponds to 'Extracts peers from /etc/hosts, ARP cache, or email contacts' (Morris Worm (1988) / ILOVEYOU).
[HI] 'Topological Scanning' का संबंध 'Extracts peers from /etc/hosts, ARP cache, or email contacts' (Morris Worm (1988) / ILOVEYOU) से है।
Q20. Considering Computer Worms: Propagation Mechanisms vs Viruses, what key behavior defines 'Subnet-Biased & USB Hybrid'?
(Computer Worms: Propagation Mechanisms vs Viruses में 'Subnet-Biased & USB Hybrid' की मुख्य भूमिका या मान क्या है?)
(A) Extracts peers from /etc/hosts, ARP cache, or email contacts
(B) Starts with pre-compiled list of known vulnerable servers
(C) Prioritizes local /24 LAN SMB shares & removable media
(D) Probes arbitrary 32-bit IPs across the entire Internet
Correct Answer: (C)
[EN] 'Subnet-Biased & USB Hybrid' represents 'Prioritizes local /24 LAN SMB shares & removable media' (Stuxnet (2010) / WannaCry (2017)).
[HI] 'Subnet-Biased & USB Hybrid' का अर्थ/मान 'Prioritizes local /24 LAN SMB shares & removable media' है (Stuxnet (2010) / WannaCry (2017))।
Computer Worms: Propagation Mechanisms vs Viruses — Exam FAQs
Q1: If a worm does not attach to files, why can it still consume massive system resources and crash networks?
यदि वॉर्म फाइलों से जुड़ता नहीं है, तब भी यह नेटवर्क और सिस्टम को कैसे क्रैश कर सकता है?
[EN] A worm runs as an active standalone process opening hundreds or thousands of concurrent outbound network sockets per second to scan targets. This floods router NAT tables, saturates LAN/WAN bandwidth, and exhausts victim memory and CPU threads—as seen with SQL Slammer and the Morris Worm.
[HI] वॉर्म एक स्वतंत्र प्रोग्राम के रूप में प्रति सेकंड सैकड़ों-हजारों आउटबाउंड नेटवर्क कनेक्शन खोलता है, जिससे राउटर की NAT टेबल, नेटवर्क बैंडविड्थ और CPU पूरी तरह भर जाते हैं और पूरा नेटवर्क ठप हो जाता है।
Q2: What was unique about how Stuxnet crossed into facilities disconnected from the internet?
इंटरनेट से कटे हुए (Air-gapped) संयंत्रों तक Stuxnet कैसे पहुंचा था?
[EN] Stuxnet combined a Windows `.LNK` shortcut zero-day vulnerability (`MS10-046`) and an `autorun` mechanism on removable USB flash drives so contractor laptops or thumb drives carried the worm physically across the air gap, then spread laterally inside via print spooler and RPC zero-days.
[HI] Stuxnet ने USB फ्लैश ड्राइव की `.LNK` शॉर्टकट जीरो-डे कमजोरी का उपयोग किया, जिससे ठेकेदारों के लैपटॉप या पेन ड्राइव के जरिए यह एयर-गैप्ड नेटवर्क के अंदर पहुंचा और फिर स्थानीय नेटवर्क पर फैल गया।
Q3: How do Conficker and WannaCry compare in terms of SMB exploitation?
SMB कमजोरी के उपयोग के मामले में Conficker और WannaCry की तुलना कैसे की जाती है?
[EN] Both spread rapidly via unpatched Windows SMB services on TCP port 445: Conficker (2008) exploited MS08-067 to build a massive P2P botnet, while WannaCry (2017) combined the leaked NSA EternalBlue SMBv1 exploit (MS17-010) with file-encrypting ransomware.
[HI] दोनों ने TCP पोर्ट 445 पर विंडोज SMB सेवा की कमजोरियों का उपयोग किया: Conficker (2008) ने MS08-067 से बॉटनेट बनाया, जबकि WannaCry (2017) ने MS17-010 (EternalBlue) एक्सप्लॉइट को रैनसमवेयर पेलोड के साथ जोड़ा।
Post a Comment
Post a Comment